Web Application Firewall:Asset management

Acessar o console

1. Faça login no console do Web Application Firewall 3.0. Na barra de menus superior, selecione o grupo de recursos e a região (Chinese Mainland ou Outside Chinese Mainland) da instância do WAF.

2. No painel de navegação à esquerda, escolha Protection Config > API Security.

3. Clique na aba Assets.

Áreas de recursos

Na aba Assets, visualize estatísticas de ativos de API e pesquise ativos usando filtros. A página possui três áreas principais:

• API asset overview: Localizada no topo da página, esta área exibe estatísticas gerais dos seus ativos de API.

• Application site bar: Situado no lado inferior esquerdo da página, este painel permite filtrar ativos por site.

• API asset list: Posicionado no lado inferior direito da página, esta seção lista os detalhes dos ativos de API que correspondem aos critérios de filtro aplicados.

Pesquisa e filtragem

A barra de pesquisa acima da lista de ativos permite filtrar ativos de API pelos seguintes critérios: nome da API, observações, intervalo de tempo, tipo de dado sensível, objeto de serviço, finalidade comercial, método de requisição, status ativo, status de acompanhamento, status de autenticação e nível de sensibilidade da API.

Importar ativos de API manualmente via Swagger

O Agentic API Security suporta a descoberta e o gerenciamento automáticos de ativos de API a partir do tráfego, sendo ideal para identificar APIs já em execução online. Em cenários onde uma API ainda não está online, possui baixo tráfego, está em fase de canary release ou exige validação de contrato para requisições e respostas, a descoberta automática pode demorar ou fornecer informações incompletas sobre parâmetros. Nesses casos, importe manualmente um arquivo de especificação Swagger (OpenAPI) para adicionar em massa os contratos de API definidos pela sua equipe de desenvolvimento como ativos. Esse método permite integrar ativos antecipadamente e fornece uma estrutura definitiva de API para validação de schema subsequente e identificação de dados sensíveis.

Procedimento

1. Em API Assets, clique em Import Swagger à direita.

2. Na caixa de diálogo Import API Assets from Swagger, carregue um arquivo JSON (com tamanho máximo de 5 MB). Veja um exemplo abaixo.

   {
     "openapi": "3.0.3",
     "info": {
       "title": "User Information API",
       "version": "1.0.0"
     },
     "servers": [
       {
         "url": "https://user.example.com"
       }
     ],
     "paths": {
       "/users/{userId}": {
         "get": {
           "summary": "Query user information",
           "parameters": [
             {
               "name": "userId",
               "in": "path",
               "required": true,
               "schema": {
                 "type": "string"
               }
             }
           ],
           "responses": {
             "200": {
               "description": "Query successful",
               "content": {
                 "application/json": {
                   "schema": {
                     "$ref": "#/components/schemas/UserResponse"
                   }
                 }
               }
             }
           }
         }
       }
     },
     "components": {
       "schemas": {
         "UserResponse": {
           "type": "object",
           "properties": {
             "userId": {
               "type": "string"
             },
             "userName": {
               "type": "string"
             },
             "phone": {
               "type": "string"
             },
             "idCard": {
               "type": "string"
             }
           }
         }
       }
     }
   }

3. Após o upload do arquivo, o sistema analisa automaticamente as APIs. Preencha as seguintes configurações:

   • Associated Protected Object: Selecione o objeto protegido a ser associado às APIs.

   • Handling for existing APIs: Caso o sistema já tenha descoberto automaticamente o mesmo ativo de API via tráfego, escolha como tratar a duplicidade:

     • Skip: Mantém o ativo existente descoberto pelo sistema e ignora o item duplicado neste upload.

     • Overwrite: Utiliza a especificação de API deste upload para atualizar o schema do ativo descoberto existente. O volume de chamadas, o status ativo, os registros de risco e outras informações do ativo existente permanecem inalterados.

4. Após concluir a configuração, clique em Import Records no lado direito de API Assets para verificar o status e os resultados da importação.

Configurar um schema para um ativo de API

O Agentic API Security permite configurar um schema para um ativo de API, definindo as especificações para seus parâmetros de requisição e estrutura de resposta. Esse schema atua como o contrato oficial da API, utilizado pela política de validação de schema para comparar requisições em tempo de execução com a estrutura definida.

Procedimento

1. Em API Assets, localize o ativo de API desejado.

2. Na coluna Actions, clique em Configure Schema. É possível configurar o schema em um dos seguintes modos.

   Modo visual

   No Modo Visual, configure o schema em três abas separadas: Parameters, Request body e Responses. Informações como Method, HostName e Path não podem ser modificadas.

   Parameters

   Adicione parâmetros localizados no path, query, header ou cookie. Para cada parâmetro, defina as seguintes configurações:

   Parâmetro	Descrição
   Field name	Nome do parâmetro. Esta configuração é obrigatória.
   Type	Tipo de dados do parâmetro, como string, integer ou boolean.
   required	Define se o parâmetro é obrigatório. Parâmetros no path são sempre obrigatórios. É possível alternar essa configuração para outros locais.
   format	Formato do parâmetro, como email, date ou uuid. As opções disponíveis dependem do tipo selecionado.
   pattern	Expressão regular para validação. Esta configuração aplica-se apenas ao tipo string.
   enum	Lista de valores aceitáveis. Separe múltiplos valores com vírgulas.

   Request body

   Especifique se o corpo da requisição é obrigatório e defina a estrutura de campos do corpo da requisição com base em seu Content-Type (como application/json). As configurações de campo seguem o mesmo padrão descrito para Parameters.

   Responses

   Adicione um código de status, como 200, e configure os headers de resposta e o corpo da resposta para cada código de status:

   • Headers de resposta: Defina o nome do campo, o tipo e as propriedades required, format, pattern e enum para os campos de header de resposta.

   • Corpo da resposta: Defina a estrutura de campos do corpo da resposta com base em seu Content-Type. As configurações de campo são as mesmas descritas acima. Além disso, defina o tipo de dado sensível para campos no corpo da resposta, recurso utilizado para mascaramento de dados em tempo real nas respostas da API. Tipos de dados sensíveis só podem ser configurados em Responses.

   Modo JSON

   No Modo JSON, edite diretamente o conteúdo JSON em conformidade com a especificação OpenAPI 3.0.x/3.1.x. Os seguintes requisitos se aplicam:

   • O conteúdo JSON deve conter apenas um path e um método, que devem corresponder ao método, nome de domínio e path do ativo de API atual.

   • O array servers deve incluir um nome de domínio que corresponda ao ativo atual.

   Exemplo de JSON

   {
     "openapi": "3.0.3",
     "info": {
       "title": "Create User API",
       "version": "1.0.0"
     },
     "servers": [
       {
         "url": "https://www.example.com"
       }
     ],
     "paths": {
       "/users": {
         "post": {
           "summary": "Create user",
           "requestBody": {
             "required": true,
             "content": {
               "application/json": {
                 "schema": {
                   "type": "object",
                   "properties": {
                     "userName": { "type": "string" },
                     "email": { "type": "string", "format": "email" },
                     "status": {
                       "type": "string",
                       "enum": ["active", "inactive"]
                     }
                   },
                   "required": ["userName", "email"]
                 }
               }
             }
           },
           "responses": {
             "200": {
               "description": "Success",
               "content": {
                 "application/json": {
                   "schema": {
                     "type": "object",
                     "properties": {
                       "userId": { "type": "integer", "format": "int64" },
                       "userName": { "type": "string" },
                       "email": {
                         "type": "string",
                         "format": "email",
                         "x-sensitive-data-types": ["Email"]
                       }
                     },
                     "required": ["userId"]
                   }
                 }
               }
             }
           }
         }
       }
     }
   }

3. Configure um modelo de Schema Validation para validar requisições e respostas reais. Para mais informações, consulte IV. Response Policy Configuration.

Visualizar detalhes do ativo de API

Na API Asset List, clique no nome de uma API para acessar a página API Details. Esta página contém cinco abas: Overview, Sample Request, Traffic Analytics, Risks and Events e Protection Suggestions.

Overview

O cartão de visão geral no topo da página exibe as seguintes informações: domínio associado, hora da primeira descoberta, última hora de atividade, finalidade comercial, objeto de serviço, status de autenticação, objeto protegido associado e observações.

Amostra de requisição

Clique na aba Sample Request para visualizar as seguintes informações:

• Sensitive Data Type: Se a requisição ou resposta contiver dados sensíveis, os tipos específicos serão exibidos aqui.

• Request Sample Display: Esta seção exibe até cinco amostras de requisição de API selecionadas aleatoriamente. Alterne entre os modos Split Display e Merge Display:

  • Split Display: Divide a amostra nas seções Sensitive Data, Standard, Request Header, Response Header, Request Body e Response Body, permitindo visualização e cópia individuais.

  • Merge Display: Consolida a amostra nas seções Sensitive Data, Sample Request e Sample Response, que podem ser visualizadas e copiadas individualmente para simplificar testes de replay de tráfego.

• Validation Actions:

  • Clique em Browser para testar rapidamente o acesso à API.

  • Clique em Command Line para obter um comando cURL destinado à validação manual de acesso.

• Parameter Recognition Results: As áreas Request Parameter Type e Response Parameter Type exibem os resultados da linha de base de tráfego, incluindo Parameter, Value Characteristics e Parameter Position.

Análise de tráfego

Clique na aba Traffic Analytics para visualizar dados de acesso da API nos últimos 30 dias:

• Traffic Analytics: Exibe a tendência de chamadas de API e estatísticas para Total Calls, Bot Requests e Cross-border Requests.

• Top 20 Access Sources: Esta seção lista as 20 principais fontes de acesso dos últimos 30 dias, classificáveis por Total Traffic, Bot Traffic e Cross-border Traffic.

• Client Source Statistics: Fornece estatísticas sobre a distribuição de fontes de acesso nos últimos 30 dias em quatro dimensões: Referer, tipo de cliente, localização geográfica e conta.

Riscos e eventos

Clique na aba Risks and Events para visualizar Risks, IP Security Events e Account Security Events associados à API. Na coluna Actions, clique em View Details para navegar até a página de detalhes e obter mais informações.

Sugestões de proteção

Clique na aba Protection Suggestions. O WAF fornece recomendações de segurança direcionadas com base na análise da linha de base de chamadas da API.

Operações rotineiras

Na API Asset List, selecione quais colunas exibir clicando no ícone no canto superior direito da lista e execute as seguintes ações: